PHP设置Cookie安全属性

本文目录导读：

1. 基础安全参数设置
2. 使用数组参数（PHP 7.3+）
3. 各安全属性的详细说明
4. 完整的Cookie类封装
5. 环境检测和最佳实践
6. 注意事项

在PHP中设置Cookie的安全属性,主要是通过setcookie()函数或setrawcookie()函数的参数来实现，以下是详细的安全配置方法：

基础安全参数设置

<?php
// 设置安全的Cookie
setcookie(
    'username',           // Cookie名称
    'john_doe',           // Cookie值
    ,                     // 过期时间（0 = 会话Cookie）
    '/',                  // 路径
    'example.com',        // 域（可选）
    true,                 // Secure - 仅通过HTTPS发送
    true                  // HttpOnly - 禁止JavaScript访问
);
?>

使用数组参数（PHP 7.3+）

<?php
// PHP 7.3+ 推荐使用options数组
setcookie('username', 'john_doe', [
    'expires' => time() + 3600,  // 1小时后过期
    'path' => '/',
    'domain' => 'example.com',
    'secure' => true,     // 仅通过HTTPS发送
    'httponly' => true,   // 禁止JavaScript访问
    'samesite' => 'Lax'   // 同站策略
]);
?>

各安全属性的详细说明

Secure属性（安全传输）

<?php
// 强制仅通过HTTPS传输
setcookie('session_id', 'abc123', [
    'secure' => true,  // 仅在HTTPS连接时发送
    'expires' => time() + 3600,
    'path' => '/'
]);
// 自动检测是否HTTPS
$is_secure = (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') 
              || $_SERVER['SERVER_PORT'] == 443;
setcookie('secure_cookie', 'value', [
    'secure' => $is_secure,
    'expires' => time() + 3600,
    'path' => '/'
]);
?>

HttpOnly属性（防止XSS攻击）

<?php
// 设置HttpOnly防止JavaScript访问
setcookie('user_token', 'secure_token_value', [
    'httponly' => true,  // JavaScript无法通过document.cookie读取
    'secure' => true,
    'expires' => time() + 3600,
    'path' => '/'
]);
?>

SameSite属性（CSRF防护）

<?php
// SameSite属性值：Strict、Lax、None
setcookie('csrf_token', 'random_token', [
    'samesite' => 'Strict',  // 完全禁止跨站请求携带Cookie
    'secure' => true,
    'httponly' => true,
    'path' => '/'
]);
// 如果设置SameSite=None，必须设置Secure
setcookie('cross_site_cookie', 'value', [
    'samesite' => 'None',
    'secure' => true,  // SameSite=None时必须配合Secure
    'path' => '/'
]);
?>

完整的Cookie类封装

<?php
class SecureCookie {
    /**
     * 设置安全Cookie
     * @param string $name Cookie名称
     * @param string $value Cookie值
     * @param int $lifetime 生命周期（秒）
     * @param array $options 额外选项
     */
    public static function set($name, $value, $lifetime = 3600, $options = []) {
        $default_options = [
            'expires' => time() + $lifetime,
            'path' => '/',
            'domain' => $_SERVER['HTTP_HOST'] ?? '',
            'secure' => true,      // 默认开启HTTPS
            'httponly' => true,    // 默认禁止JS访问
            'samesite' => 'Lax'    // 默认Lax策略
        ];
        $options = array_merge($default_options, $options);
        return setcookie($name, $value, $options);
    }
    /**
     * 读取Cookie值
     */
    public static function get($name) {
        return $_COOKIE[$name] ?? null;
    }
    /**
     * 删除Cookie
     */
    public static function delete($name) {
        return setcookie($name, '', [
            'expires' => time() - 3600,
            'path' => '/',
            'domain' => $_SERVER['HTTP_HOST'] ?? '',
            'secure' => true,
            'httponly' => true
        ]);
    }
}
// 使用示例
SecureCookie::set('user_id', 123, 7200);
SecureCookie::set('theme', 'dark', 86400, ['samesite' => 'Strict']);
$user_id = SecureCookie::get('user_id');
?>

环境检测和最佳实践

<?php
// 仅在HTTPS环境中设置Secure属性
function setSecureCookie($name, $value, $expires = 3600) {
    // 检查是否为HTTPS环境
    $is_https = (
        (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off') ||
        $_SERVER['SERVER_PORT'] == 443
    );
    $options = [
        'expires' => time() + $expires,
        'path' => '/',
        'httponly' => true,
        'secure' => $is_https  // 动态设置Secure
    ];
    // 如果在HTTPS环境，添加SAmesite
    if ($is_https) {
        $options['samesite'] = 'Lax';
    }
    setcookie($name, $value, $options);
}
?>

注意事项

1. Cookie值加密：敏感数据应加密存储

   <?php
   // 加密Cookie值
   $token = bin2hex(random_bytes(32));  // 生成安全随机值
   $encrypted = openssl_encrypt($value, 'AES-128-CBC', $key);
   setcookie('encrypted_data', $encrypted, [
    'secure' => true,
    'httponly' => true,
    'expires' => time() + 3600,
    'path' => '/'
   ]);
   ?>

2. 不能设置过大：单个Cookie不能超过4KB

3. 必须调用在HTML输出前：setcookie()必须在任何输出之前调用

4. 不存储敏感信息：不要在Cookie中存储密码、信用卡号等敏感信息

通过正确设置这些安全属性,可以显著提高Web应用的安全性，防止XSS、CSRF等常见攻击。